添加特定网段路由，优先级高于默认路由

Linux下VPN路由配置详解：从基础到高级实践指南

在现代网络环境中，Linux系统因其高度可定制性和强大的网络功能，成为搭建虚拟私人网络（VPN）服务的首选平台之一，尤其是在远程办公、多站点互联或安全数据传输场景中，合理配置Linux下的VPN路由策略至关重要，本文将详细介绍如何在Linux系统中设置和管理VPN路由，涵盖基本概念、常见工具（如iproute2）、实际案例以及常见问题排查方法。

理解“VPN路由”是什么非常重要，当客户端通过OpenVPN、WireGuard或IPsec等协议连接到远程服务器时，流量通常会被封装进加密隧道，默认情况下，所有流量可能被重定向到该隧道，这称为“全隧道模式”，但很多时候我们只需将特定子网或目标地址通过VPN传输，其余流量走本地网络——这就是“分流路由”（split tunneling）,也是企业级部署中最常用的策略。

在Linux中，核心命令是ip route（来自iproute2包），假设你已通过OpenVPN连接，并获得一个虚拟接口（如tun0）,你可以使用以下命令查看当前路由表：

ip route show

如果发现默认路由（0.0.0.0/0）指向了tun0接口，说明开启了全隧道模式，若要实现分流，你需要手动添加特定网段的路由规则，你想让访问192.168.100.0/24的流量走VPN，而其他流量走本地网关,可以这样做：

这里需要注意几点：

1. src参数指定源IP,避免路由回环；
2. 如果你使用的是OpenVPN，可以在配置文件中加入redirect-gateway def1来控制是否启用默认路由，或使用route-nopull禁用自动路由注入；
3. 使用ip rule可以创建更复杂的策略路由,适用于多WAN口或多ISP环境。

高级场景中，比如需要基于用户或应用区分路由路径（如公司内部应用走VPN，公网访问走本地），可以结合iptables或nftables进行标记（mark），再配合ip rule做策略路由。

# 标记来自特定用户的流量
iptables -t mangle -A OUTPUT -m owner --uid-owner 1000 -j MARK --set-mark 100
# 策略路由：将mark=100的流量导向tun0
ip rule add fwmark 100 table 100
ip route add default via <vpn_gateway> dev tun0 table 100

务必测试路由是否生效，使用traceroute或ping测试目标地址路径，确保流量确实经过预期接口，检查日志（如journalctl -u openvpn@server.service）以确认是否有路由冲突或连接异常。

Linux下的VPN路由设置是一门精细的艺术，既要懂底层原理，也要掌握实用命令，正确配置不仅能提升安全性，还能优化带宽利用率和用户体验，对于网络工程师而言，这是构建高可用、高性能网络架构不可或缺的技能。

VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN